CVE-2026-6566 in NextGEN Gallery Plugin
Sumário
de VulDB • 31/05/2026
O plugin NextGEN Gallery para WordPress, que inclui as funcionalidades Photo Gallery, Sliders, Proofing e Themes, é vulnerável a Insecure Direct Object Reference (Referência Direta a Objeto Insegura) nas versões até a 4.2.0, inclusive. Isso ocorre devido à autorização insuficiente em nível de objeto no fluxo REST de exclusão de imagens, onde o callback de permissão para DELETE /imagely/v1/images/{id} verifica apenas as permissões 'NextGEN Manage gallery' e não impõe a propriedade da galeria nem as permissões 'NextGEN Manage others gallery'. Isso permite que atacantes autenticados, com privilégios de nível Subscriber e a capacidade 'NextGEN Manage gallery', excluam imagens de galerias pertencentes a outros usuários, bem como seus arquivos de imagem associados no disco, quando a opção deleteImg estiver habilitada (padrão).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.